Le sous-groupe d’un groupe d’\u00c9tats-nations iranien connu sous le nom de Chaton N\u00e9m\u00e9sis<\/strong> a \u00e9t\u00e9 attribu\u00e9 comme \u00e9tant \u00e0 l’origine d’un logiciel malveillant personnalis\u00e9 jusqu’alors non document\u00e9 appel\u00e9 Drokbk<\/b> qui utilise GitHub comme r\u00e9solveur de dead drop pour exfiltrer les donn\u00e9es d’un ordinateur infect\u00e9 ou pour recevoir des commandes.<\/p>\n “L’utilisation de GitHub comme point mort virtuel aide les logiciels malveillants \u00e0 s’int\u00e9grer”, a d\u00e9clar\u00e9 le chercheur principal de Secureworks, Rafe Pilling. a dit<\/a>. “Tout le trafic vers GitHub est crypt\u00e9, ce qui signifie que les technologies d\u00e9fensives ne peuvent pas voir ce qui est transmis. Et parce que GitHub est un service l\u00e9gitime, il soul\u00e8ve moins de questions.”<\/p>\n Les activit\u00e9s malveillantes de l’acteur parrain\u00e9 par le gouvernement iranien sont pass\u00e9es inaper\u00e7ues plus t\u00f4t en f\u00e9vrier 2022, lorsqu’il a \u00e9t\u00e9 observ\u00e9 en train d’exploiter les failles Log4Shell dans les serveurs VMware Horizon non corrig\u00e9s pour d\u00e9ployer un ran\u00e7ongiciel.<\/p>\n Nemesis Kitten est suivi<\/a> par la grande communaut\u00e9 de la cybers\u00e9curit\u00e9 sous divers noms tels que TunnelVision, Cobalt Mirage et UNC2448. C’est aussi un sous-cluster du groupe Phosphorus, Microsoft lui donnant la d\u00e9signation DEV-0270.<\/p>\n On dit \u00e9galement qu’il partage des chevauchements tactiques avec un autre collectif adversaire surnomm\u00e9 Cobalt Illusion (alias APT42), un sous-groupe Phosphorus “charg\u00e9 de mener des op\u00e9rations de collecte d’informations et de surveillance contre des individus et des organisations d’int\u00e9r\u00eat strat\u00e9gique pour le gouvernement iranien”.<\/p>\n Des enqu\u00eates ult\u00e9rieures sur les op\u00e9rations de l’adversaire ont r\u00e9v\u00e9l\u00e9 deux ensembles d’intrusions distincts : le cluster A, qui utilise BitLocker et DiskCryptor pour mener des attaques de ran\u00e7ongiciels opportunistes \u00e0 des fins financi\u00e8res, et le cluster B, qui effectue des effractions cibl\u00e9es pour la collecte de renseignements.<\/p>\n Microsoft, Google Mandiant et Secureworks ont depuis d\u00e9couvert des preuves retra\u00e7ant les origines de Cobalt Mirage \u00e0 deux soci\u00e9t\u00e9s \u00e9crans iraniennes Najee Technology et Afkar System qui, selon le d\u00e9partement du Tr\u00e9sor am\u00e9ricain, sont affili\u00e9es au Corps des gardiens de la r\u00e9volution islamique (CGRI).<\/p>\n Drokbk, le logiciel malveillant nouvellement identifi\u00e9, est associ\u00e9 au cluster B et est \u00e9crit en .NET. D\u00e9ploy\u00e9 apr\u00e8s l’exploitation comme une forme d’\u00e9tablissement de la persistance, il se compose d’un dropper et d’une charge utile utilis\u00e9e pour ex\u00e9cuter les commandes re\u00e7ues d’un serveur distant.<\/p>\n “Les premiers signes de son utilisation dans la nature sont apparus lors d’une intrusion en f\u00e9vrier 2022 dans un r\u00e9seau de gouvernement local am\u00e9ricain”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 dans un rapport partag\u00e9 avec The Hacker News.<\/p>\n Cette attaque a entra\u00een\u00e9 la compromission d’un serveur VMware Horizon utilisant les vuln\u00e9rabilit\u00e9s Log4j (CVE-2021-44228 et CVE-2021-45046), conduisant finalement \u00e0 la livraison du binaire Drokbk au moyen d’une archive ZIP compress\u00e9e h\u00e9berg\u00e9e sur un service de transfert de fichiers .<\/p>\n Comme mesure d’\u00e9vasion de la d\u00e9tection, Drokbk utilise une technique appel\u00e9e r\u00e9solveur de chute morte<\/a> pour d\u00e9terminer son serveur de commande et de contr\u00f4le (C2). Le r\u00e9solveur Dead Drop fait r\u00e9f\u00e9rence \u00e0 l’utilisation d’un service Web externe l\u00e9gitime pour h\u00e9berger des informations qui pointent vers une infrastructure C2 suppl\u00e9mentaire.<\/p>\n Dans ce cas, cela est r\u00e9alis\u00e9 en tirant parti d’un r\u00e9f\u00e9rentiel GitHub contr\u00f4l\u00e9 par un acteur qui h\u00e9berge les informations dans le Fichier LISEZMOI.md<\/a>.<\/p>\n “Drokbk fournit aux acteurs de la menace un acc\u00e8s \u00e0 distance arbitraire et un pied suppl\u00e9mentaire aux c\u00f4t\u00e9s d’outils de tunnellisation tels que Fast Reverse Proxy (FRP) et Ngrok”, a d\u00e9clar\u00e9 Pilling.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/11\/Des-chercheurs-detaillent-la-vulnerabilite-inter-locataire-dAppSync-dans-Amazon-Web.jpg\")
<\/a><\/center><\/div>\n